堡壘最易從內(nèi)部攻破

企業(yè)網(wǎng)絡(luò)所傳輸?shù)臄?shù)據(jù)中，有不少是以純文本的形式傳輸。普通的Web網(wǎng)頁大多是文本文件，還可能包含電子郵件消息，記賬信息或由瀏覽器觀看的商業(yè)報(bào)告。

從Web或企業(yè)的internet 服務(wù)器發(fā)出的信息流，有些對企業(yè)至關(guān)重要。這些信息也大都是以純文本的形式在企業(yè)局域網(wǎng)上進(jìn)行傳輸?shù)摹２粌H如此，對于企業(yè)的局域網(wǎng)、輸人的電子郵件通常是不加密的，待發(fā)出的郵件也是如此，更嚴(yán)重的是，在缺省模式中、電子郵件客戶端用來與電子郵件服務(wù)器進(jìn)行核查的口令也是以純文本形式發(fā)出的。如果這些口令被截獲。那么企業(yè)很容易受到傷害。甚至在網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)管理人員的控制臺(tái)之間發(fā)送的某些電子消息也是純文本，它們都非常容易被截獲或假冒。

或許有人會(huì)有疑問。企業(yè)局城網(wǎng)上的信息有被截獲或被假冒的可能，但是有那么容易嗎?答案是肯定的:只需使用常見的軟件，如協(xié)議分析軟件、甚至從Internet下載的免費(fèi)工具。任何PC都可以截獲來自網(wǎng)卡的消息，在共享型局城網(wǎng)中，所有的PC通過一臺(tái)以太網(wǎng)集線器聯(lián)網(wǎng)。這樣每臺(tái) PC都可以看到和截獲每一個(gè)數(shù)據(jù)包。而交換型以太局城問看起來似乎不大容易受到傷害。因?yàn)槊總€(gè)最終用戶站點(diǎn)只能看到發(fā)給自己的信息流。但是，對于居心叵測的人，如企業(yè)間諜或心懷不滿的員工來說，他們可能在流過大量信息流的一些關(guān)鍵地點(diǎn)，如路由器與廣城網(wǎng)訪問點(diǎn)之間放置一臺(tái)PC、從而復(fù)制信息，更精的是，如果路由器或其他網(wǎng)絡(luò)基礎(chǔ)設(shè)備的管理訪問代碼被竊取。便可以把數(shù)據(jù)包轉(zhuǎn)送到其他地方去。

端到端的加密

針對這一問題，解決辦法就是確保即使網(wǎng)絡(luò)信息流被截獲，它們對于黑客也是完全無價(jià)值的。要做到這一點(diǎn)，就應(yīng)該實(shí)現(xiàn)對所有網(wǎng)絡(luò)信息進(jìn)行端到端的加密。

目前，有幾種廣泛采用的標(biāo)準(zhǔn)用于對網(wǎng)絡(luò)信息流進(jìn)行加密，而且許多Internet服務(wù)器和瀏覽器都可以執(zhí)行這些標(biāo)準(zhǔn)，其中最重要的標(biāo)準(zhǔn)是IPSec，即IP Security標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)確保發(fā)送雙方的網(wǎng)絡(luò)設(shè)備采用同樣的加密算法對負(fù)載進(jìn)行加密和解密，從而保證了信息傳送的安全。Internet廣泛采用IPSec標(biāo)準(zhǔn)，幾乎所有的Web服務(wù)器和Web瀏覽器都支持IPSec協(xié)議，它還被集成到Microsoft公司新發(fā)布的操作系統(tǒng)Windows 2000中。

雖然IPSec被用來保證安全會(huì)話中的雙方采用相同的加密算法，但I(xiàn)PSec標(biāo)準(zhǔn)并沒有對加密算法做出規(guī)定，而是允許使用發(fā)送雙方PC都擁有的任何加密算法，當(dāng)前最廣泛使用的加密方法稱為DES（Data Encryption Standard），目前最常用的DES版本采用40位或56位的二進(jìn)制作為密鑰。

網(wǎng)卡加密 兩全其美

雖然IPSec被用于確保信息流的安全，但是它也帶來新的問題，對每個(gè)網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行加密和解密，需要大量處理工作。如果對每個(gè)數(shù)據(jù)包進(jìn)行40位或56位的DES加密，所需要的大量數(shù)字運(yùn)算會(huì)使PC的性能明顯下降，事務(wù)處理變得慢慢吞吞，PC做其他工作（如文字處理或圖形處理）的能力也大大削弱了。這種影響在服務(wù)器上更加嚴(yán)重，因?yàn)榉?wù)器可能正在同時(shí)與各種不同的PC和其他服務(wù)器進(jìn)行數(shù)十個(gè)或數(shù)百個(gè)對話。

當(dāng)然，你可以命令操作系統(tǒng)如Windows 2000參與局域網(wǎng)和廣域網(wǎng)上的所有端對端的IP加密，但這只有在性能和可用性上付出很高的代價(jià)后才行得通。網(wǎng)絡(luò)被用的越多，性能就越差，有關(guān)網(wǎng)絡(luò)公司的研究表面，這樣的加密會(huì)使臺(tái)式PC機(jī)的處理能力減少77%。當(dāng)頻繁地使用加密會(huì)話時(shí)，基于600MHz Pentium III處理器的PC性能會(huì)降低到僅相當(dāng)于一臺(tái)133MHz Pentium處理器的PC。

解決上述問題的辦法是尋找外援，即把IPSec和DES加密“承包”出去，也就是由專門設(shè)計(jì)的專用微處理器去做加密和解密等極為繁重的計(jì)算工作，使計(jì)算機(jī)的主處理器不受任何影響。目前已經(jīng)有不少公司推出含有這種專用微處理器的網(wǎng)卡，這種解決方案可以做到兩全其美，即實(shí)現(xiàn)了端對端的IP加密，又可以充分發(fā)揮PC或服務(wù)器的全部性能。

日前，國內(nèi)最大的專業(yè)服務(wù)器網(wǎng)卡廠商，光潤通科技通過在服務(wù)器產(chǎn)品上反復(fù)測試和驗(yàn)證，推出新一代安全網(wǎng)卡，讓安全從服務(wù)器與外部開始溝通時(shí)就能實(shí)現(xiàn)。這種網(wǎng)卡通過在硬件上集成網(wǎng)絡(luò)加密協(xié)處理器，在保持較高的網(wǎng)絡(luò)傳輸性能的同時(shí)，為基于標(biāo)準(zhǔn)安全規(guī)范的局域網(wǎng)(LAN)的敏感數(shù)據(jù)傳輸提供了保護(hù)，使服務(wù)器的處理器資源從加密解密的繁忙運(yùn)算中解脫出來，能更多的用于關(guān)鍵性業(yè)務(wù)。

光潤通安全網(wǎng)卡優(yōu)勢體現(xiàn)

安全網(wǎng)卡使用前需要身份認(rèn)證，杜絕了惡意接入。

通信數(shù)據(jù)是加密的，并且只能在光潤通安全網(wǎng)卡間通信。

全硬件封閉實(shí)現(xiàn)，證書 和秘鑰存儲(chǔ)在芯片內(nèi)部。

無須軟件支持，即插即用。隔絕了軟件帶來的所有不安全因素。

實(shí)施成本相對軟件完全可控，不改變企業(yè)現(xiàn)有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，用戶維護(hù)零成本。

將身份認(rèn)證和加密通信捆綁在一起。解決了以往先認(rèn)證再通信帶來的中間環(huán)節(jié)的安全漏洞。

與傳統(tǒng)Vpn-IpSec網(wǎng)關(guān)相比較

不改變現(xiàn)有網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，即插即用，零實(shí)施成本。

不需要vpn網(wǎng)關(guān)軟件服務(wù)來做認(rèn)證支持。

不需要經(jīng)過復(fù)雜的IpSec封包轉(zhuǎn)換。

所有認(rèn)證過程、秘鑰協(xié)商過程、數(shù)據(jù)加密過程全部在硬件中實(shí)現(xiàn)。

不需要終端或者服務(wù)端上層軟件的干預(yù)，安全隔離性高。

網(wǎng)絡(luò)傳輸和加密認(rèn)證功能集成在一塊卡上來實(shí)現(xiàn)，最大限度的降低了硬件成本，擺脫了對硬件密碼卡的功能依賴。

前不久，第3方的專業(yè)測評機(jī)構(gòu)對這兩款網(wǎng)卡進(jìn)行了測試，結(jié)果表明：通過采用專用加密處理器，在啟動(dòng)端對端的IPSec和DES之后，服務(wù)器和工作站上的網(wǎng)絡(luò)流量基本不受影響，Tcp/Udp 加密傳輸可達(dá)942Mb/ S，換句話說，加密的局域網(wǎng)傳輸增加了安全性，這對于最終用戶和應(yīng)用來說，都是完全透明的。

因特網(wǎng)的迅速普及和信息技術(shù)的飛速發(fā)展，使得信息網(wǎng)絡(luò)安全問題越來越受到全社會(huì)的矚目。保護(hù)企業(yè)的信息資源免遭可能的危害，對企業(yè)的生產(chǎn)、管理和經(jīng)營是至關(guān)重要的。防火墻、口令和防止非法訪問企業(yè)網(wǎng)絡(luò)的其他保護(hù)措施已經(jīng)開始就位。但是，也不應(yīng)該忽視網(wǎng)絡(luò)內(nèi)部的安全措施。請記住，80%的數(shù)據(jù)犯罪來自防火墻以內(nèi)，我們必須實(shí)現(xiàn)端到端的網(wǎng)絡(luò)信息安全。為此，需要從網(wǎng)卡開始。